Опубликованы подробности 0-click бага, затрагивающего Windows MSHTML

Опубликованы подробности 0-click бага, затрагивающего Windows MSHTML

Опубликованы подробности 0-click бага, затрагивающего Windows MSHTML

Специалисты по кибербезопасности опубликовали подробности уязвимости в браузерном движке Windows MSHTML (Trident), позволявшей условным злоумышленникам обойти защитные механизмы в системах пользователей. В настоящий момент для бреши готов соответствующий патч.

Проблему отслеживают под идентификатором CVE-2023-29324, она получила 6,5 балла по шкале CVSS. По словам Microsoft, дыру закрыли с выходом майского набора обновлений.

О баге сообщил один из специалистов компании Akamai Бен Барнеа. Он же обратил внимание сообщества на тот факт, что уязвимость затрагивает все версии Windows. В своем отчете Барнеа пишет:

«Не прошедший аутентификацию злоумышленник может использовать описанную брешь, чтобы заставить клиент Outlook подключиться к определенному серверу. Это может привести к краже учетных данных NTLM».

«Поскольку это уязвимость 0-click, ее эксплуатация проводится без какого-либо взаимодействия с целевым пользователем».

Стоит также отметить, что CVE-2023-29324 представляет собой обход ранее выпущенного патча для другой дыры — CVE-2023-23397, которую устранили в марте этого года.

Банки будут проверять смартфоны на вредоносы только с согласия клиента

С 1 марта 2027 года российские банки смогут останавливать денежные переводы, если обнаружат на устройстве клиента вредоносные приложения. Впрочем, тайно заглядывать в каждый смартфон никто не должен: проверка будет добровольной и потребует явно выраженного согласия пользователя.

Как рассказал эксперт по кибербезопасности Сибирского ГУ Банка России Олег Савва, соответствующий пункт необходимо включить в договор между банком и клиентом.

Кроме того, кредитной организации потребуется специальный программный механизм, способный выявлять вредоносные приложения.

Если система заметит опасный софт, операция будет остановлена. Новая норма охватит платежи по банковским картам, переводы электронных денег и операции через Систему быстрых платежей.

Механизм предусмотрен Федеральным законом № 210-ФЗ от 26 июня 2026 года. Его главная задача — пресекать мошеннические переводы в ситуациях, когда вредоносная программа получила доступ к мобильному банку или помогает злоумышленникам управлять устройством жертвы.

Таким образом, банк сможет заблокировать перевод, но сначала клиент должен сам разрешить ему искать цифровую заразу. Без согласия владельца смартфона антивирусного досмотра не будет.

RSS: Новости на портале Anti-Malware.ru